O plugin Forminator para WordPress, que é utilizado em mais de 500 mil sites em todo o mundo, apresenta uma vulnerabilidade crítica que permite a agentes de ameaças realizar uploads de arquivos de maneira irrestrita no servidor.
Desenvolvido pela WPMU DEV, o Forminator é uma ferramenta para a criação de formulários personalizados de contato, feedback, questionários, pesquisas/enquetes e pagamento, contando com uma interface de arrastar e soltar, integrações extensivas com serviços de terceiros e uma grande versatilidade.
Na última quinta-feira, dia 18, o CERT do Japão emitiu um alerta em sua página de notificações de vulnerabilidades (JVN) sobre uma falha de segurança de alta gravidade no Forminator (CVE-2024-28890, avaliada com uma pontuação de 9.8 no Common Vulnerability Scoring System – CVSS), que pode permitir a um atacante remoto o upload de malware em sites que utilizam o plugin.
O comunicado no JVN ressalta que “Um atacante remoto poderia acessar informações sensíveis através de arquivos no servidor, alterar o site que emprega o plugin e provocar uma condição de negação de serviço (DoS)”.
O boletim de segurança do JPCERT elenca três vulnerabilidades:
- CVE-2024-28890 – Falha na validação de arquivos durante o processo de upload, possibilitando a um atacante remoto o upload e execução de arquivos maliciosos no servidor do site.
Afeta o Forminator 1.29.0 e versões anteriores.
- CVE-2024-31077 – Vulnerabilidade de injeção de SQL que permite a atacantes remotos com privilégios de administrador realizarem consultas SQL arbitrárias no banco de dados do site.
Impacta o Forminator 1.29.3 e anteriores.
- CVE-2024-31857 – Vulnerabilidade de cross-site scripting (XSS) que permite a um atacante remoto executar HTML arbitrária e scripts no navegador do usuário se este for levado a clicar em um link especialmente preparado.
Afeta o Forminator 1.15.4 e versões anteriores.
É altamente recomendado que os administradores de sites que utilizam o plugin Forminator atualizem para a versão 1.29.3, que resolve todas as três falhas, o mais breve possível.
De acordo com as estatísticas do WordPress.org, desde a liberação da atualização de segurança no dia 8 deste mês, cerca de 180 mil administradores de sites realizaram o download do plugin.
Presumindo que todos os downloads sejam da versão mais atual, ainda há aproximadamente 320 mil sites em risco de serem atacados.
Publicidade
Em 14 de janeiro a Solyd irá revolucionar a forma como pentest e hacking deve ser ensinado. Se inscreva para ser o primeiro a saber das novidades. Saiba mais...